Īsi sakot: IT drošības pakalpojumu sniedzēju vislabāk atrast, pirms tas ir steidzami vajadzīgs. Salīdziniet pakalpojumu sniedzējus pēc konkrētiem jautājumiem: kā tie rīkojas, kurš strādā pie jūsu sistēmām, kā tiek nodrošināti pierādījumi, kas ir ziņojumā un kur ir viņu piedāvājuma robežas. Nopietni pakalpojumu sniedzēji uz šiem jautājumiem atbild skaidri un rakstveidā. Absolūti solījumi, spiediens un neskaidri pakalpojumu apraksti ir brīdinājuma pazīmes.
Kāpēc izvēle tagad ir sarežģīta
Pēc situācijas, kāda bija ar PHP2Shell, pieprasījums pēc drošības pakalpojumiem strauji pieaug. Vienlaikus parādās piedāvājumi, kas skan ātri, vispusīgi un lēti. Uzņēmumiem bez savas drošības nodaļas ir grūti atšķirt kvalitāti no laba mārketinga.
Klāt nāk laika spiediens. Kas aizdomājas par ielaušanos, vēlas palīdzību uzreiz un nav nedēļas salīdzināšanai. Tāpēc izvēli vērts izdarīt mierīgos laikos un pamatpunktus noskaidrot iepriekš. Vai jums vispār vajadzīgs pakalpojumu sniedzējs, atbild mūsu raksts Novērst pašiem vai pieaicināt pakalpojumu sniedzēju?. Šeit runa ir par to, kā atrast pareizo.
IT drošības pakalpojumu sniedzēja atrašana: 12 jautājumi
Uzdodiet šos jautājumus katram pakalpojumu sniedzējam, kuru apsverat. Atbildēm jābūt konkrētām un pēc iespējas rakstveida.
- Kuras sistēmas jūs pazīstat no savas darba pieredzes? Tīkla drošības pakalpojumu sniedzējs automātiski nav pieredzējis ar PHP-FPM, Plesk vai konteineriem. Jautājiet par vidēm, kurās komanda regulāri strādā.
- Kurš konkrēti strādā pie mūsu sistēmām? Pašu darbinieki, partneri vai apakšuzņēmēji? Partneru gadījumā jābūt skaidram, kurš kādu uzdevumu uzņemas un kurš pret jums paliek atbildīgs.
- Kā izskatās jūsu rīcība pirmajos soļos? Labas atbildes min ierobežošanu, pierādījumu nodrošināšanu un stāvokļa uzskaiti pirms jebkuras tīrīšanas, kā to paredz arī Kontrolsaraksts pēc uzlaušanas.
- Kā jūs nodrošināt pierādījumus? Vai žurnāli un faili tiek nodrošināti pirms izmaiņām, ar laika zīmogu un kontrolsummu? Tas ir svarīgi apdrošināšanai, ziņojumiem un iespējamam iesniegumam policijā.
- Kādas piekļuves jums vajadzīgas un kā jūs ar tām rīkojaties? Nopietni pakalpojumu sniedzēji prasa tikai vajadzīgās tiesības, izmanto personiskus kontus un pēc noslēguma piekļuves atdod.
- Vai pirms piekļuves ir rakstveida vienošanās? Pie tās pieder apjoms, pilnvaras un, ja ir personas dati, līgums par datu apstrādi uzdevumā (AVV). Vairāk sadaļā Datu apstrāde uzdevumā, kad pakalpojumu sniedzēji piekļūst serveriem.
- Kurš lemj par tālejošiem soļiem? Atslēgšana, dzēšana, uzstādīšana no jauna: pakalpojumu sniedzējam šādi soļi jāierosina un jāpamato, lēmums paliek pie jums.
- Kas ir noslēguma ziņojumā? Pajautājiet par paraugu bez klientu datiem. Labs ziņojums nošķir pierādīto, ticamo un nezināmo un nosauc atklātos punktus.
- Kā jūs sazināties pasūtījuma laikā? Vai ir fiksētas kontaktpersonas, regulāri starpposma stāvokļi un skaidrs kanāls steidzamiem jautājumiem?
- Kur ir jūsu piedāvājuma robežas? Juridisko konsultāciju, saziņu ar iestādēm vai tiesai paredzētas forensikas ekspertīzes uzņemas ne visi. Nopietns pakalpojumu sniedzējs to pasaka pats.
- Kā tiek norēķināts? Pēc darba apjoma, ar fiksētu cenu vai kā ietvarlīgums? Likt izskaidrot, kas ir iekļauts un kas nē, lai vēlāk nebūtu pārsteigumu.
- Kas notiek pēc incidenta? Vai pakalpojumu sniedzējs atbalsta pēcapstrādi, nostiprināšanu un pastāvīgu apkalpošanu, vai pasūtījums beidzas ar tīrīšanu?
Brīdinājuma pazīmes piedāvājumos
Dažām formulējumiem jums jākļūst uzmanīgiem. Pie tiem pieder absolūtas drošības solījumi, apgalvojums, ka pēc tīrīšanas serverī „noteikti nekā vairs nav”, un izteikumi, kas bez stāvokļa uzskaites jau zina rezultātu. Labi pakalpojumu sniedzēji runā par varbūtībām un pierādījumiem.
Piesardzība ir vajadzīga arī tad, ja pakalpojumu sniedzējs mudina uz piekļuvēm, pirms apjoms un pilnvaras ir noskaidrotas, vai ja tas nelūgts vēršas pie jums pa e-pastu vai tālruni un apgalvo, ka jūsu serveris ir uzlauzts. Krīzes nedēļās krāpnieki izmanto šādus paņēmienus. Sūtītāju pārbaudiet neatkarīgā veidā, pirms reaģējat.
Vēl viena norāde: logotipus, zīmogus un apbalvojumus ir viegli novietot vietnē. Šaubu gadījumā pajautājiet, kurš zīmogu piešķīris un kas tam pārbaudīts.
Publiski orientieri
BSI publicē kvalificētu pakalpojumu sniedzēju sarakstus noteiktām jomām, piemēram, reaģēšanai uz tā saucamajiem APT uzbrukumiem, tātad mērķtiecīgiem, ilgstošiem uzbrukumiem, un DDoS uzbrukumu atvairīšanai. Šie saraksti ir laba orientācija organizācijām ar atbilstošu vajadzību. Tipisks incidents atsevišķā tīmekļa serverī bieži neietilpst šajās kategorijās; šeit var nākt runā arī pakalpojumu sniedzēji, kas tur nav iekļauti.
Noder arī ieteikumi no sava tīkla, piemēram, no nozares apvienībām, kamerām, jūsu apdrošinātāja vai citiem uzņēmumiem, kas incidentu pieredzējuši. Daži kiberapdrošinātāji savos noteikumos nosauc savas kontaktpersonas vai pakalpojumu sniedzējus zaudējumu gadījumam. Pārbaudiet savu polisi, pirms paši pasūtāt.
Atbildes uz divpadsmit jautājumiem fiksējiet īsā tabulā un ievietojiet pie ārkārtas rīcības plāna. Ārkārtas situācijā jūs tad uzreiz zināsiet, kam zvanīt un kas ir saskaņots.
Līgumā fiksēt to, kas svarīgs
Arī pie laba izvēles svarīgākie punkti jāregulē rakstveidā: pakalpojumu apjoms, piekļuves un to atdošana, konfidencialitāte, rīcība ar pierādījumiem, ziņošanas pienākumi un norēķini. Kuras klauzulas ir lietderīgas, apraksta IT pakalpojumu sniedzēju līgumi: skaidri regulēt drošības pienākumus. Vai jūsu līgums juridiski der, pārbauda jurists; mēs tam sniedzam tehniskos punktus.
Kā PHP SOS palīdz konkrēti?
- Mēs divpadsmit jautājumus par savu piedāvājumu atbildam rakstveidā, pirms jūs mūs pasūtāt, arī par mūsu pakalpojuma robežām.
- Mēs atklāti nosaucam, kurus uzdevumus uzņemamies paši un kur strādājam ar specializētiem partneriem, piemēram, forensikā vai penetrācijas testos.
- Mēs vienojamies par apjomu, pilnvarām un vajadzības gadījumā datu apstrādi uzdevumā pirms pirmās piekļuves.
- Incidenta gadījumā mēs strādājam pēc savas incidentu reaģēšanas (Incident Response) norises: ierobežot, nodrošināt, tīrīt, dokumentēt.
Secinājums
Pareizo drošības pakalpojumu sniedzēju atpazīstat nevis pēc skaļākā solījuma, bet pēc skaidrām atbildēm uz konkrētiem jautājumiem. Kas divpadsmit jautājumus uzdod mierīgos laikos un rezultātus fiksē, ārkārtas situācijā izlemj ātrāk un labāk.
Biežāk uzdotie jautājumi
Pēc kā atpazīt nopietnu IT drošības pakalpojumu sniedzēju?
Pēc skaidriem izteikumiem par rīcību, atbildību un robežām, pēc rakstveida vienošanās pirms piekļuves un pēc ziņojuma, kas nošķir pierādīto no pieņemtā. Neuzticēšanās ir pamatota pie absolūtiem solījumiem un spiediena nekavējoties nodot piekļuves.
Vai BSI uztur pakalpojumu sniedzēju sarakstu?
BSI publicē kvalificētu pakalpojumu sniedzēju sarakstus noteiktām jomām, piemēram, reaģēšanai uz APT uzbrukumiem un DDoS uzbrukumu atvairīšanai. Šie saraksti attiecas uz īpašām situācijām; tipiska tīmekļa servera incidenta gadījumā var nākt runā arī citi pakalpojumu sniedzēji.
Vai man vajadzētu iegūt vairākus piedāvājumus?
Plānojamiem pasūtījumiem, piemēram, nostiprināšanai, auditam vai apkopes līgumam, jā. Akūtā ārkārtas situācijā tam bieži trūkst laika. Jo svarīgāk ir pakalpojumu sniedzēju izvēlēties iepriekš un noskaidrot pamatpunktus, pirms kaut kas notiek.
Vai pakalpojumu sniedzējs pats drīkst atslēgt sistēmas vai dzēst datus?
Tikai tad, ja tas ir skaidri saskaņots. Labs pakalpojumu sniedzējs tālejošu soļu gadījumā pajautā un dokumentē jūsu lēmumu. Iepriekš nosakiet, kurš jūsu pusē šādus lēmumus drīkst pieņemt.